Der E-Commerce boomt, doch im Schatten der Rekordumsätze wächst eine unsichtbare Bedrohung heran, die das Fundament vieler Online-Shops erschüttert. Wenn Sie glauben, dass Ihr Shop nur von menschlichen Kunden besucht wird, liegen Sie falsch. Die Realität des Internets hat sich dramatisch verändert: Maschinen haben die Kontrolle übernommen.
In diesem Artikel durchleuchten wir schonungslos die aktuellen Fakten und Statistiken der Jahre 2024 und 2025. Wir zeigen auf, warum eine Web Application Firewall (WAF) längst kein “Nice-to-have” mehr für Konzerne ist, sondern die absolute Lebensversicherung für jeden kleinen und mittelständischen Online-Shop.
Die neue Realität: Bots überholen menschlichen Traffic
Im Jahr 2024 passierte das, was Experten für das Jahr 2027 vorhergesagt hatten: Der automatisierte Bot-Traffic überholte erstmals in der Geschichte des Internets den menschlichen Traffic.
Laut dem Imperva Bad Bot Report 2025 machten Bots 51 % des gesamten Web-Traffics aus. Davon entfielen alarmierende 37 % auf bösartige Bots (Bad Bots) – ein massiver Anstieg gegenüber 32 % im Vorjahr . Cloudflare bestätigt diese Entwicklung: In ihrem Radar Year in Review 2025 wird deutlich, dass das Internet strukturell nicht für diese Flut an maschinellen Anfragen gebaut wurde.
Besonders der E-Commerce ist im Fadenkreuz:
- Travel & Retail als Hauptziele: Die Reisebranche und der Einzelhandel sind die am stärksten von Bot-Angriffen betroffenen Sektoren. Bei einigen E-Commerce-Seiten machen Bots während der Cyber-Week bis zu 43% des Traffics aus.
- Falsche Metriken: Viele Shopbetreiber freuen sich über hohe Besucherzahlen, ohne zu wissen, dass ein Großteil davon Bots sind, die Preise scrapen, Schwachstellen suchen oder Bestände blockieren.
Wie Künstliche Intelligenz die Angreifer bewaffnet
Der rasante Anstieg des bösartigen Traffics hat einen klaren Treiber: Künstliche Intelligenz. KI-Tools haben die Eintrittsbarriere für Cyberkriminelle drastisch gesenkt. Sogenannte “Bots as a Service” (BaaS) Plattformen und generative KI ermöglichen es selbst Anfängern, hochkomplexe Angriffe zu starten .
Die Angreifer nutzen KI für zwei primäre Zwecke:
- Skalierung: Einfache Bot-Angriffe stiegen 2024 auf 45 % aller Angriffe an, da KI die massenhafte Automatisierung vereinfacht.
- Verschleierung: Moderne KI-Bots ahmen menschliches Verhalten nahezu perfekt nach. Sie nutzen Wohnort-IP-Adressen (Residential Proxies), fälschen Browser-Identitäten und passen ihre Taktiken an, sobald sie blockiert werden . Die alte Regel “Bot oder Mensch” funktioniert nicht mehr – die Verhaltensmuster sind kaum noch zu unterscheiden.
Account Takeovers und Carding: Der finanzielle Ruin
Die Folgen dieser automatisierten Angriffe sind für Online-Shops verheerend. Im Fokus stehen dabei vor allem zwei Angriffsvektoren, die direkt auf die Kassen der Händler und Kunden zielen.
Account Takeover (ATO)
Beim Account Takeover übernehmen Bots bestehende Kundenkonten. Sie nutzen Listen mit gestohlenen Zugangsdaten (Credential Stuffing) und probieren diese massenhaft in Online-Shops aus.
- Die Zahl der ATO-Angriffe stieg 2024 um 40 % an.
- Globale Verluste durch Account Takeovers werden für 2025 auf 17 Milliarden US-Dollar geschätzt.
- 61 % aller ATO-Angriffe zielen direkt auf den E-Commerce ab, um gespeicherte Zahlungsmittel oder Treuepunkte zu stehlen.
Carding und E-Commerce Betrug
Beim Carding testen Bots massenhaft gestohlene Kreditkartendaten an den Checkout-Systemen der Shops.
- Die globalen Verluste durch E-Commerce-Betrug erreichten 2025 rund 48 Milliarden US-Dollar.
- Händler in den USA verlieren mittlerweile 4,61 US-Dollar für jeden Dollar an Betrug (inklusive Chargeback-Gebühren und operativen Kosten).
- Das Volumen der Chargebacks (Rückbuchungen) wird bis 2026 voraussichtlich um 41 % steigen.
Ein Shop ohne WAF ist diesen automatisierten Checkout-Angriffen schutzlos ausgeliefert. Die Folge sind nicht nur direkte finanzielle Verluste, sondern auch die Sperrung durch Payment-Provider aufgrund zu hoher Betrugsraten.
Die DSGVO-Falle: Veraltete Software und fehlende TOMs
Neben den direkten Schäden durch Angreifer droht Online-Shops Gefahr von anderer Seite: den Datenschutzbehörden.
Artikel 32 der Datenschutz-Grundverordnung (DSGVO) verpflichtet Unternehmen, geeignete technische und organisatorische Maßnahmen (TOM) zu ergreifen, um ein dem Risiko angemessenes Schutzniveau für personenbezogene Daten zu gewährleisten.
Die Aufsichtsbehörden machen ernst:Ein deutscher Web-Shop aus Niedersachsen wurde zu einem Bußgeld von 65.500 Euro verurteilt . Der Grund? Der Shop nutzte eine veraltete Software-Version (xt:Commerce aus 2014), für die es keine Sicherheitsupdates mehr gab. Dadurch konnten Angreifer Kundendaten und Passwörter auslesen . Die Behörde urteilte klar: Die technischen Maßnahmen waren unzureichend, ein Verstoß gegen Art. 32 DSGVO lag vor.
Eine WAF (wie beispielsweise von Cloudflare) fungiert hier als “virtueller Patch”. Selbst wenn eine Schwachstelle in der Shop-Software (wie Shopware oder JTL) noch nicht durch ein Update behoben wurde, blockiert die WAF die Ausnutzung dieser Lücke (z.B. SQL-Injections oder Cross-Site Scripting) auf Netzwerkebene . Dies ist ein entscheidender Baustein, um die Anforderungen des Art. 32 DSGVO zu erfüllen und Bußgelder zu vermeiden.
Fazit: Warum EcomSec auf WAF-Technologie setzt
Die Faktenlage ist erdrückend:
- Über die Hälfte des Traffics besteht aus Bots, viele davon sind bösartig und KI-gesteuert.
- Die finanziellen Schäden durch Betrug (ATO, Carding) gehen in die Milliarden.
- Die DSGVO fordert proaktive technische Schutzmaßnahmen, andernfalls drohen empfindliche Bußgelder.
Eine Web Application Firewall ist heute das absolute Minimum an digitaler Hygiene für jeden Online-Shop. Sie blockiert OWASP Top 10 Bedrohungen, wehrt DDoS-Attacken ab (Cloudflare blockierte in Q1 2025 über 20,5 Millionen davon ) und filtert bösartigen Bot-Traffic heraus, bevor er den Server überhaupt erreicht.
Bei EcomSec verstehen wir die Herausforderungen des modernen E-Commerce aus eigener Erfahrung. Wir wissen, dass Standard-Setups nicht mehr ausreichen. Deshalb implementieren wir WAF-Lösungen, die speziell auf die Anforderungen von Systemen wie Shopware oder JTL abgestimmt sind – für Sicherheit, die Ihren Umsatz und Ihr Unternehmen schützt.